Семейство троянцев для рассылки спама в Facebook
По сообщению компании «Доктор Веб», появились вредоносные программы семейства Trojan.OneX, которые при заражении компьютера рассылают спам в социальной сети Facebook, а также через программы-мессенджеры. Зафиксировано распространение двух модификаций этого троянца, незначительно различающихся по своим функциональным возможностям.
Trojan.OneX работает только в 32-разрядной версии ОС Windows, в 64-разрядной ОС он завершает работу после загрузки с управляющего сервера текстового файла. После запуска на инфицированной машине троянец проверяет наличие своей копии в ОС, а затем расшифровывает из собственных ресурсов адрес удаленного сервера, с которого загружается специальный текстовый файл. Этот файл содержит несколько строк на английском языке вида «hahaha! http://goo.gl[…].jpeg», на которые впоследствии будут подменяться сообщения пользователя, отправляемые им в Facebook. Сообщения заменяются строчками из данного файла только в режиме чата, при этом отправка оригинального послания блокируется. Каждый час троянец загружает с удаленного сервера новый конфигурационный файл.
Trojan.OneX.1 ищет в ОС запущенные процессы с именами firefox, iexplore и IEXPLORE, при обнаружении полностью встраивается в них и перехватывает функции, отвечающие за отправку сообщений.
Вторая модификация, Trojan.OneX.2, использует для отправки сообщений программы-мессенджеры с помощью процессов pidgin, skype, msnmsgr, aim, icq.exe, yahoom, ymsg_tray.exe, googletalk, xfire.exe. В момент отправки сообщений на инфицированном компьютере блокируются мышь и клавиатура. В отличие от Trojan.OneX.1, Trojan.OneX.2 «умеет» работать с конфигурационными файлами в кодировке Unicode.
Среди рассылаемых троянцами сообщений распространены ссылки на принадлежащие злоумышленникам поддельные сайты: один из них, в частности, имитирует оформление службы RapidShare. Пользователю предлагают скачать под видом изображения в формате JPEG zip-архив, в котором располагается Photo14.JPG.scr — исполняемый файл (Trojan.Packed.22289), содержащий в себе троянца BackDoor.IRC.Bot.1446. Эта программа не только открывает доступ к инфицированному компьютеру и способна похищать конфиденциальные данные, но и позволяет выполнять команды на зараженной машине, в частности, команду загрузки и установки других приложений. Специалисты «Доктор Веб» зафиксировали случаи распространения с помощью троянцев BackDoor.IRC.Bot самой программы Trojan.OneX, которая, в свою очередь, способствует дальнейшему распространению BackDoor.IRC.Bot.